Tutkijat ovat dokumentoineet tapauksen nollaklikkauksen vakoiluohjelmamainoksista, joita toimittajat kohtasivat vuonna 2024, ja se muuttaa käsitystämme jokapäiväisen selailun riskeistä. Sekä Al Jazeera että Citizen Lab ovat julkaisseet havaintojaan kampanjasta, jota he kutsuvat nimellä "AdFection" ja jossa palkkasoturivakoiluohjelmaa toimitettiin verkkomainonnan kautta. Napautusta, latausta tai epäilyttävää linkkiä ei tarvittu.

Kysymys siitä, kuka lopulta kohdisti iskut toimittajiin, on yhä vastaamatta. Tutkijat sanovat tietävänsä, ketkä mahdollistivat hyökkäykset: kaksi israelilaisyhtiötä, joista toinen on ollut Yhdysvaltain mustalla listalla noin viiden vuoden ajan.

Miten AdFection toimitti nollaklikkauksen vakoiluohjelmamainokset toimittajille

Nollaklikkaushyökkäys on hyökkäys, joka ei vaadi uhrilta mitään toimintaa. Perinteinen tietojenkalastelu riippuu siitä, että avaat liitetiedoston tai napautat linkkiä. Tässä toimituskanava oli mainosekosysteemi itse. Mainokset latautuvat automaattisesti aina, kun sivu latautuu, joten haitallinen mainos voi päästä laitteeseen yksinkertaisesti siksi, että joku vieraili verkkosivustolla.

Juuri se tekee tekniikasta huolestuttavan. Mainosverkosto, jota useimmat lukijat eivät koskaan ajattele, muuttuu tieksi, jota vakoiluohjelma kulkee. Kohdennettu mainonta on rakennettu poimimaan tiettyjä yleisöjä, ja sama tarkkuus, jonka avulla brändi voi tavoittaa tietyn väestöryhmän, voi teoriassa antaa hyökkääjän tavoittaa tietyn henkilön.

Julkinen raportointi tutkimuksesta nimeää Discover-Tech-nimisen mainosyhtiön ja kuvailee vakoiluohjelmien valmistajien käyttäneen sitä laitteiden tavoittamiseen. Nämä yksityiskohdat tulevat Citizen Labin raportin toissijaisesta uutisoinnista, joten tarkista ensisijaiset havainnot tarkasta teknisestä kuvauksesta ennen kuin luotat niihin.

Mitä Citizen Lab ja Al Jazeera löysivät

Molemmat organisaatiot julkaisivat omat havaintonsa. Al Jazeran toimittajat olivat yksiä niistä, joihin kampanja vaikutti, ja Citizen Lab, Toronton yliopiston tutkimusryhmä, joka tunnetaan kaupallisen vakoiluohjelmiston tutkimisesta, analysoi kampanjan ja antoi sille nimen AdFection. Aiempi uutisointimme Citizen Labin havainnosta, että nollaklikkausmainokset tartuttavat toimittajien laitteita käy raportin läpi yksityiskohtaisemmin.

Kaksi seikkaa erottuu raportoinnista:

  • Attribuutio on puutteellinen. Tutkijat tunnistivat mahdollistajat, mutta eivät asiakasta, joka valitsi kohteet. Tämä on tyypillistä palkkasoturivakoiluohjelmien markkinoille, joilla työkalut rakentava yhtiö ja niitä käyttävä taho ovat usein eri.
  • Mustalla listalla oleva yhtiö oli mukana. Toinen kahdesta israelilaisyhtiöstä on ollut Yhdysvaltain mustalla listalla noin puoli vuosikymmentä. Tämä herättää vaikeita kysymyksiä siitä, miten tällainen yhtiö pysyy yhteydessä kaupalliseen infrastruktuuriin ja laajempaan mainosten toimitusketjuun.

Toissijainen uutisointi on myös kuvannut tapauksen ensimmäisenä julkisesti vahvistettuna tapauksena nollaklikkauksen palkkasoturivakoiluohjelmasta, joka toimitettiin kohdennettujen mainosten kautta. Käsittele tätä kehystystä muiden raportoimana luonnehdintana Citizen Labin työstä ja tarkista alkuperäisestä raportista sen tarkat väitteet.

Miksi toimittajiin ja aktivisteihin kohdistetaan iskuja

Palkkasoturivakoiluohjelmistoa myydään valvontatyökaluna, ja toimittajat ovat toistuva kohde, koska heillä on hallussaan sitä, mitä muut haluavat: lähteitä, julkaisematonta materiaalia ja yksityisiä viestintöjä. Kaapattu puhelin voi paljastaa yhteystiedot, viestit, sijainnin ja mikrofonin käyttöoikeuden. Arkaluontoisia juttuja työstävälle toimittajalle yksikin tartunta voi vaarantaa lähteitä, ei vain toimittajaa itseään.

AdFection-tapaus osoittaa myös, miksi uhka ei rajoitu tiukasti toimittajiin. Toimitustapa nojaa infrastruktuuriin, jota kaikki käyttävät. Vaikka tietty henkilö olisi valittu kohteeksi, sama mainosjärjestelmä palvelee suurta yleisöä. Useimmat lukijat eivät todennäköisesti ole tämänkaltaisten työkalujen ensisijainen kohde, mutta tapaus osoittaa, että mekanismi on olemassa.

Mitä tämä tarkoittaa sinulle

Useimmille ihmisille käytännön riski joutua palkkasoturivakoiluohjelman erityiskohteeksi on pieni. Silti havainnot muistuttavat siitä, että mihinkään klikkaamatta jättäminen ei tarkoita turvassa olemista, ja että tavalliset verkkomainokset voivat olla hyökkäyspinta. Jos olet toimittaja, aktivisti, juristi tai joku, joka käsittelee arkaluontoisia tietoja, suhtaudu tähän vakavammin.

VPN:ien suhteen kannattaa myös olla rehellinen. VPN salaa liikenteesi laitteesi ja VPN-palvelimen välillä ja piilottaa IP-osoitteesi vierailemiltasi sivustoilta. Se ei estä haitallista mainosta latautumasta selaimessasi, eikä se paikkaa puhelimesi haavoittuvuutta. Pelkkä VPN ei suojaa tämänkaltaiselta hyökkäykseltä. Se on edelleen hyödyllinen muihin yksityisyystavoitteisiin, mutta tässä se ei ole puolustus.

Mitä lukijat voivat tehdä

Mikään yksittäinen toimenpide ei poista riskiä, mutta kerroksittaiset toimenpiteet vähentävät sitä huomattavasti:

  • Päivitä käyttöjärjestelmäsi ja selaimesi viipymättä. Tämänkaltainen vakoiluohjelma riippuu tyypillisesti ohjelmistovioista, ja päivitykset sulkevat ne.
  • Ota Lockdown-tila käyttöön, jos olet suuremmassa vaarassa. Applen Lockdown-tila on suunniteltu pienentämään hyökkäyspintaa henkilöille, joihin saatetaan kohdistaa iskuja. Android-käyttäjät voivat etsiä vastaavia edistyneitä suojausasetuksia.
  • Käytä mainosten estäjää. Jos toimituskanava on mainos, mainosten estäminen selaimen tai DNS:n tasolla poistaa suuren osan altistuksesta.
  • Käynnistä laitteesi säännöllisesti uudelleen. Jotkin tartunnat eivät selviä uudelleenkäynnistyksestä, mikä voi pakottaa hyökkääjät aloittamaan alusta.
  • Vähennä sitä, mitä selaimessa ajetaan. Vähemmän laajennuksia ja minimaalinen joukko sovelluksia vähentävät paikkoja, joissa hyökkääjä voi hyödyntää haavoittuvuuksia.
  • Hae asiantuntija-apua, jos epäilet tartuntaa. Vaatteillaan olevia ryhmiä tukevat organisaatiot voivat auttaa forensisissa tarkistuksissa.

Keskeiset havainnot

AdFection-tapaus osoittaa, että nollaklikkauksen vakoiluohjelmamainokset, joita toimittajat kohtasivat vuonna 2024, toimitettiin saman mainosjärjestelmän kautta, joka palvelee kaikkia muitakin. Hyökkääjää ei ole vielä tunnistettu, mutta kaksi israelilaisyhtiötä on yhdistetty sen mahdollistamiseen. Pidä laitteesi päivitettyinä, harkitse Lockdown-tilaa, jos kohtaat kohonneen riskin, ja estä mainokset siellä, missä voit. Täydelliset yksityiskohdat saat lukemalla yhteenvetomme Citizen Labin raportista nollaklikkausmainoksista ja toimittajista ja seuraamalla sitten Citizen Labin ja Al Jazeran ensisijaisia havaintoja. Ja muista, että VPN, vaikka onkin hyödyllinen, ei ole suoja tämänkaltaiselta hyökkäykseltä.